HTB-Campfire-1

本文最后更新于 2025年4月25日下午

来自 DC 的安全日志，受影响的 WorkStation 的 PowerShell 操作日志和 Prefetch 文件

Description

Alonzo Spotted Weird files on his computer and informed the newly assembled SOC Team. Assessing the situation it is believed a Kerberoasting attack may have occurred in the network. It is your job to confirm the findings by analyzing the provided evidence. You are provided with: 1- Security Logs from the Domain Controller 2- PowerShell-Operational Logs from the affected workstation 3- Prefetch Files from the affected workstation

分析 DC 的安全日志确认 Kerberoasting 活动发生的日期和时间

Kerberos

先简单学习一下关于 Kerberos 的知识

Kerberos 是一种计算机网络认证协议，作用是进行身份验证

身份验证过程

客户端向 KDC（Key Distribution Center，通常是域控制器）请求 TGT（Ticket Granting Ticket），请求用户的密钥之一用于预身份验证。TGT 由身份验证服务 (AS) 提供，客户端的请求被称为AS-REQ，应答被称为AS-REP。
客户端使用 TGT 向 KDC 请求 ST（服务票证）。该票证由票证授予服务 (TGS) 提供。客户端的请求被称为 TGS-REQ，应答被称为 TGS-REP。
客户端使用 ST（服务票证）来访问服务。客户端对服务的请求被称为调用 AP-REQ，服务的响应被称为调用 AP-REP。
两种票证（TGT 和 ST）通常都包含加密的 PAC（特权身份验证证书），目标服务将读取一组信息来决定身份验证用户是否可以访问该服务（用户 ID、组成员身份等）。

prefetch

Windows 中的预读取文件夹，存放系统已访问的文件的预读信息，程序首次运行时会存储有关在加载该文件时访问的所有文件的信息，还存储元数据。

kerberoasting 攻击

kerberoasting 攻击是在 TGS_REP 过程中用户会收到由目标服务实例的 NTLM hash 加密的 TGS，如果得到了这个 TGS，由于该 TGS 是用服务端 hash 加密，那么客户端拿到 TGS 后可以本地爆破，如果字典足够大则能爆破出 SPN（服务主体名称）链接用户的明文密码，当该服务在域内权限很高时，攻击者能接管整个域。

分析 DC 的安全日志，确认 Kerberoasting 活动发生的日期和时间

查看 Domain Controller 中的安全日志，根据 kerberoasting 原理查看 TGS 相关日志，筛选事件 ID 4769，查找服务名称不为 krbtgt 或以 $ 结尾（比如 DC01$ ）的任何事件。票证加密类型为 0x17，用于 RC4 类型加密，故障代码为 0x0